LGPD em votação: que dado do votante você pode guardar — e por quanto tempo

Assembleia é uma operação de dados pessoais do começo ao fim. Você monta uma lista de quem pode votar, cruza com o cadastro de unidades ou de associados, dispara convite por e-mail, registra quem compareceu, apura escolhas e publica uma ata que ficará arquivada por anos. Cada uma dessas etapas está sob a LGPD, e o condomínio, o sindicato, a cooperativa ou a associação é o controlador — a responsabilidade não se transfere para o síndico, para a administradora nem para o software. A boa notícia é que uma votação bem desenhada resolve quase tudo por estrutura, sem transformar a assembleia num projeto de compliance. Este guia mostra onde o dado entra, qual base legal sustenta cada uso, o que não coletar e por quanto tempo guardar.

Onde o dado pessoal aparece — e são mais pontos do que parece

Antes de discutir base legal, vale mapear. Numa assembleia comum circulam: nome e identificação do votante, e-mail ou telefone de contato, a unidade ou matrícula que ele representa, a fração ideal ou o número de cotas, a situação de adimplência que define se ele está apto, o registro de comparecimento, eventual procuração com dados do outorgante e do outorgado, e a ata final com o resultado. Em alguns ritos entram ainda CPF e certificado digital.

Nem todo esse conjunto é obrigatório em toda votação, e é exatamente aí que mora a decisão mais importante: cada dado a mais que você resolve coletar é um dado a mais que precisa de base legal, de segurança e de prazo de descarte.

Qual é a sua base legal — e por que raramente é consentimento

O reflexo mais comum é pedir consentimento para tudo. Na assembleia, isso costuma ser o caminho errado. Consentimento pressupõe escolha livre e revogável a qualquer momento: se o condômino puder revogar e sair da lista de convocados, você perde a capacidade de convocá-lo, que é justamente um dever legal seu.

As bases que sustentam a maior parte do tratamento numa assembleia são outras. O cumprimento de obrigação legal ou regulatória ampara convocar todos os titulares, apurar quórum e lavrar ata, porque a lei e o estatuto impõem esses atos. A execução de contrato e o exercício regular de direitos amparam o tratamento decorrente da relação associativa ou condominial. O legítimo interesse pode cobrir usos acessórios e proporcionais, desde que você consiga demonstrar a necessidade e que a expectativa do titular seja razoável.

Consentimento continua útil, mas para o que é genuinamente opcional: gravar a videochamada da sessão, publicar a lista de presença fora do círculo de participantes, usar o e-mail coletado para comunicação que não seja a própria assembleia. Se algo é obrigatório, não peça permissão — informe com transparência qual é o fundamento.

Minimização: o dado que você não coleta é o que não vaza

O princípio da necessidade diz que o tratamento deve se limitar ao mínimo para atingir a finalidade. Traduzido para a prática da assembleia: pare de pedir CPF por hábito.

Pergunte-se o que o seu rito realmente exige para identificar o votante com segurança suficiente. Em muitas votações, o e-mail cadastrado na base da entidade já identifica de forma adequada, e a lista de aptos por e-mail ou por domínio da organização resolve o controle de quem entra. Quando a matéria é sensível ou o histórico da entidade pede rigor maior, você sobe o degrau: validação por certificado digital ICP-Brasil ou conferência do votante contra a sua própria base por API externa, ambas disponíveis no plano Pro. O ponto é que esse degrau passa a ser uma decisão consciente, tomada por causa do risco daquela pauta — e não a coleta automática de documento de todo mundo em toda votação.

Vale a mesma disciplina para a adimplência. Você precisa saber se a pessoa está apta a votar; não precisa expor o valor devido nem o histórico de inadimplência na tela de ninguém. A allowlist já carrega essa decisão resolvida: quem está na lista vota, quem não está não vota, sem que o motivo circule.

O ponto delicado: sigilo do voto e rastreabilidade convivendo

Aqui está a tensão específica da votação, e ela não existe em nenhum outro tratamento de dados da entidade. Você precisa provar que a pessoa votou — para sustentar quórum e afastar duplicidade — e, quando o voto é secreto, precisa garantir que ninguém consiga saber em que ela votou. As duas exigências parecem opostas, e num controle feito em planilha elas realmente são: se existe uma coluna com o nome ao lado da coluna com a escolha, o sigilo é apenas uma promessa de quem administra o arquivo.

A solução correta é estrutural, não de política interna. Com o voto secreto ativo no Votari, o registro de comparecimento e o registro da escolha são desacoplados: a lista de presença comprova a participação, o resultado apura as escolhas, e o vínculo entre um e outro não existe nem para o administrador da votação. Isso serve à LGPD e ao direito estatutário ao mesmo tempo — o dado que ligaria pessoa e voto simplesmente não é guardado, e dado inexistente não vaza, não é intimado e não precisa ser eliminado depois. Os demais mecanismos que sustentam a auditoria sem quebrar sigilo estão detalhados no guia de votação online segura.

Por quanto tempo guardar

A LGPD determina que o tratamento termine quando a finalidade se exaure, com eliminação dos dados, ressalvadas as hipóteses de guarda para cumprimento de obrigação legal, exercício regular de direitos e outras previstas em lei. Traduzindo para a assembleia, os prazos não são todos iguais:

• Ata e resultado consolidado — guarda longa. É documento societário da entidade, base de prestação de contas e prova em eventual questionamento.
• Lista de presença e comprovantes de convocação — guarda enquanto a deliberação puder ser contestada, porque é exatamente o que sustenta a validade do ato.
• Dados de contato usados só para o convite — não viram mailing. Terminada a assembleia, a finalidade daquele uso se encerrou.
• Documentos de identificação coletados por exceção — se você pediu CPF ou certificado para um rito específico, defina o descarte junto com a coleta, não depois.

Escreva esses prazos antes da assembleia, em uma linha cada. Política de retenção que existe só depois do pedido de exclusão não é política, é reação.

Transparência e o pedido que uma hora chega

O titular tem direito de saber que dados a entidade trata sobre ele, com que finalidade, com quem compartilha e por quanto tempo guarda — e de pedir correção, anonimização ou eliminação do que for excessivo. Numa assembleia, esse pedido costuma chegar em três formas: "tirem meu e-mail da lista", "apaguem meu nome da ata" e "quero saber quem viu meu voto".

Responder bem depende de ter decidido antes. O primeiro pedido normalmente se atende, desde que preservado o canal de convocação exigido pelo estatuto. O segundo geralmente se recusa com fundamento: a ata é documento de guarda obrigatória e a eliminação seletiva de nomes descaracterizaria a prova — o que a ata precisa conter vem da lei e do estatuto, não da preferência de cada participante. O terceiro se responde com arquitetura: em votação secreta, ninguém viu, porque o vínculo nunca foi registrado.

Complete o básico institucional: informe na convocação quem é o controlador e como falar com o encarregado pelo tratamento de dados, restrinja o acesso ao painel da votação a quem tem função ali, e mantenha o registro de quem administrou o quê. É pouco trabalho e é o que se pede numa fiscalização.

Privacidade se resolve no desenho, não no aviso

Nenhum texto de rodapé conserta uma votação que guardou o que não devia. Decida o que coletar antes de coletar, use a base legal correta em vez de consentimento por reflexo, deixe o sigilo do voto ser garantido pela estrutura da apuração e escreva o prazo de descarte junto com o de guarda. Feito isso, a assembleia fica em conformidade sem que ninguém precise pensar em LGPD no dia da votação. Veja na página de preços quais mecanismos de identificação cada plano libera e crie sua conta para montar a próxima votação coletando só o necessário.